Artigo 50: O Programa de Governança em Privacidade

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.

§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá: I - implementar programa de governança em privacidade que, no mínimo: a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais; b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta; c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados; d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade; e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular; f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos; g) conte com planos de resposta a incidentes e remediação; e h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas; II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.

§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.

O que isso significa na prática?

Este artigo incentiva a proatividade. Em vez de apenas seguir a lei, os controladores e operadores são encorajados a criar um Programa de Governança em Privacidade.

Esse programa é um conjunto estruturado de políticas, procedimentos e controles internos que demonstram o compromisso da empresa com a proteção de dados. O § 2º funciona como um checklist, definindo os elementos mínimos que um bom programa deve ter (comprometimento, análise de risco, resposta a incidentes, melhoria contínua, etc.).

Ter um programa de governança robusto é a melhor maneira de provar para a ANPD e para os clientes que a empresa age com a devida diligência, materializando o princípio da responsabilização e prestação de contas.

Como se Aplica ao seu Negócio?

Este artigo é o roteiro para construir uma cultura de privacidade na sua empresa.

📄 Não é Só Ter Documentos, é Ter um Programa: A conformidade vai além de ter uma política de privacidade. É preciso criar um programa real, com responsáveis, processos e monitoramento, incluindo um Plano de Resposta a Incidentes e um processo para atender aos direitos dos titulares.

⚖️ Escalável para o Seu Tamanho: Um bom programa de governança não precisa ser complexo. Ele deve ser adaptado à realidade da sua empresa. Uma startup terá um programa mais simples que o de um banco, mas ambos precisam ter os elementos essenciais.

👍 Selo de Qualidade: Ter um programa de governança bem estruturado é um grande diferencial competitivo. É a forma mais eficaz de demonstrar a clientes e parceiros que sua empresa é confiável e leva a proteção de dados a sério.

🔍 A Prova da Efetividade: Em uma fiscalização da ANPD, a primeira coisa que a autoridade vai querer ver é o seu Programa de Governança em Privacidade. Ter esse programa bem documentado e em funcionamento é a sua principal linha de defesa.